Compliance-checklist AI-verordening

De meeste checklists voor de AI-verordening zijn een platte lijst met verplichtingen. Dat is de verkeerde vorm, want ruwweg de helft van wat op die lijsten staat geldt niet voor jou - en welke helft dat is, hangt af van twee antwoorden die je in ongeveer twintig minuten kunt vinden.

Daarom staat dit op volgorde. Elke stap schrapt werk of perkt het in. Doe ze op volgorde en je besteedt je inspanning aan de verplichtingen die je daadwerkelijk hebt.

Stap 1 - Val je überhaupt binnen het toepassingsgebied?

Twee vragen.

Is het een AI-systeem? Artikel 3(1) definieert dit als een op een machine gebaseerd systeem dat uit de input die het ontvangt afleidt hoe het output genereert zoals voorspellingen, content, aanbevelingen of beslissingen. In de praktijk: draait er in je product een model dat inferentie doet, dan val je eronder. Deterministische, regelgebaseerde logica - een if/then-engine, een scoreformule die iemand met de hand heeft geschreven - doorgaans niet, hoe "slim" de marketing het ook noemt.

Heeft de EU rechtsmacht? Artikel 2 raakt aanbieders die systemen in de EU in de handel brengen, ongeacht waar zij zijn gevestigd, en - het deel dat mensen missen - aanbieders en gebruiksverantwoordelijken buiten de EU wanneer de output in de EU wordt gebruikt. Opgericht zijn in Delaware haalt je er niet uit als je gebruikers in Berlijn zitten.

Stap 2 - Wat is jouw rol?

Dit is de vraag met de grootste hefboom in de hele verordening, en het is de vraag die het vaakst verkeerd wordt beantwoord.

Oprichters gaan er massaal van uit dat ze "aanbieder" zijn omdat ze iets hebben gebouwd. Maar als het AI-systeem zelf van iemand anders is en je het in je bedrijfsvoering gebruikt - een wervingstool die je in licentie hebt, een supportmodel dat je via een API aanroept - dan ben je gebruiksverantwoordelijke van dat systeem, en het verschil is enorm. Teams begroten conformiteitsbeoordelingen die ze nooit verschuldigd zouden zijn geweest.

Het werkt ook de andere kant op, en dat is de dure richting. Substantiële wijziging kan je aanbieder maken van een systeem dat je niet hebt gebouwd. Neem je een systeem van een derde en verander je het beoogde doel ervan wezenlijk, dan kun je de verplichtingen van een aanbieder erven zonder daar ooit voor gekozen te hebben.

De volledige uitsplitsing aanbieder versus gebruiksverantwoordelijke, inclusief het gemengde geval waarin je allebei tegelijk bent, is twintig minuten waard als er enige twijfel is.

Stap 3 - Heb je een model voor algemene doeleinden gewijzigd?

Aparte vraag, apart pakket verplichtingen, en het verrast mensen.

• Alleen API-aanroepen of prompting - je zit stroomafwaarts. De GPAI-verplichtingen uit artikel 53 liggen bij de aanbieder van het model, niet bij jou. Zeg dat hardop tegen iedereen die je iets anders heeft verteld; het neemt een angst weg die teams echt geld kost.
• Lichte fine-tuning, zelfde domein, bescheiden dataset - nog steeds stroomafwaarts, in het normale geval.
• Substantiële hertraining, grote parameterwijzigingen of een nieuw taakdomein - je kunt nu GPAI-aanbieder zijn onder artikel 53: technische documentatie (bijlage XI), informatie voor stroomafwaartse partijen (bijlage XII), een beleid inzake auteursrecht en tekst- en datamining, en een openbare samenvatting van de trainingsdata.

De verplichtingen uit artikel 53 gelden sinds augustus 2025 en werden handhaafbaar op 2 augustus 2026. Het meest blootgesteld zijn hier de teams die achttien maanden geleden een serieuze fine-tuning deden om prestatieredenen, toen er geen enkele regelgevende reden was om erover na te denken. Meer over de drempel van artikel 53.

Stap 4 - Wat is je risiconiveau?

Werk van boven naar beneden. Stop bij de eerste die past.

Onaanvaardbaar - artikel 5

Ronduit verboden. Biometrische identificatie op afstand in realtime in openbaar toegankelijke ruimten ten behoeve van rechtshandhaving (op enge uitzonderingen na), social scoring door of namens overheidsinstanties, emotieherkenning op de werkvloer of in het onderwijs, ongerichte scraping van gezichtsafbeeldingen, en uitbuitende manipulatie van kwetsbare groepen. Verboden sinds februari 2025; handhaafbaar vanaf 2 augustus 2026. Kom je hier terecht, dan is dit geen complianceproject - dan is het een productbeslissing.

Hoog risico - artikel 6 en bijlage III

Bijlage III somt de gebieden op: werkgelegenheid en personeelsbeheer, onderwijs, krediet en essentiële diensten, rechtshandhaving, migratie en grenstoezicht, rechtsbedeling, biometrie, en kritieke infrastructuur. Bijlage I dekt AI als veiligheidscomponent van producten die al onder de EU-harmonisatiewetgeving vallen.

De uitzondering is niet gratis. Een aanbieder die zich erop beroept, moet die beoordeling documenteren en het systeem registreren. "We namen aan dat we waren uitgezonderd", achteraf opgeschreven, is geen beoordeling. Hoe je de 6(3)-check goed uitvoert.

Beperkt risico - artikel 50

Transparantieverplichtingen. Systemen die met mensen communiceren moeten melden dat ze AI zijn. Synthetische content moet worden gelabeld. Deepfakes moeten worden gemeld. Hier komen de meeste chatbots en generatieve producten terecht - en, cruciaal, artikel 50 is door de omnibus niet uitgesteld.

Minimaal risico

Geen verplichtingen behalve de AI-geletterdheid uit artikel 4. De meeste zakelijke software zit hier.

Stap 5 - Wat is nu handhaafbaar?

Leg die tabel naast wat je in juni te horen kreeg. "De EU heeft de AI-verordening uitgesteld" beschrijft rij vijf en zes. Rij een tot en met vier zijn vandaag handhaafbaar, en dat zijn de rijen die chatbots en generatieve producten raken - precies de groep die het meest waarschijnlijk achterover is gaan leunen.

Uitgesteld is niet hetzelfde als ver weg. Een conformiteitsbeoordeling, technische documentatie en een werkend risicobeheersysteem kosten een klein team realistisch twaalf tot achttien maanden. December 2027 betekent beginnen met het werk in 2026. De volledige deadlinetabel.

Stap 6 - Doe deze deze week

1. Heb je een chatbot: laat hem het melden. Bij of vóór de eerste interactie, zichtbaar voor de gebruiker - niet in je privacyverklaring. Nu handhaafbaar, en het kost een middag.
2. Genereer je content: label het. Artikel 50(2) en (4). Ook een middag.
3. Houd een sessie over AI-geletterdheid en notuleer die. Artikel 4 is de goedkoopste verplichting in de verordening. Een halve dag, aanwezigheid vastgelegd, over wat je systemen doen en hoe ze falen. Het verslag is de naleving.
4. Schrijf je rol en je risiconiveau op, met redenen, en zet er een datum op. Eén pagina. Dit is wat een inkoopvragenlijst van een grote klant eigenlijk vraagt.
5. Ben je hoog risico: vraag een vaste offerte op voor de conformiteitsbeoordeling. Nog niet om te kopen - om het bedrag en de doorlooptijd te kennen.

Een noot over de boetes, want de meeste berichtgeving draait die om

Je ziet overal € 35 mln / 7 % en € 15 mln / 3 % genoemd. Dat zijn maxima voor grote ondernemingen. Artikel 99(6) bepaalt dat voor het mkb en start-ups de boete het lagere is van het vaste bedrag en het percentage van de omzet - het omgekeerde van de regel die voor grote bedrijven geldt.

Voor een klein bedrijf waren de spectaculaire getallen nooit op jou gericht. Dat maakt het risico niet nul - het verplaatst het. De realistische kosten van een onbeantwoordbare positie onder de AI-verordening zijn de inkoopvragenlijst van een grote klant die je niet kunt invullen en de deal die stilletjes sterft bij de juridische afdeling van iemand anders. Dat gebeurt lang voordat een toezichthouder je naam heeft gehoord, en het gebeurt veel vaker.